San Francisco Consulting

Vie privée à l’ère de la société de la surveillance et des fichiers online - 2

Comment sont développées les nouvelles techniques de surveillance et d’identification censées nous protéger avant tout?

Les éditeurs américains des méga réseaux sociaux en ligne comme YouTube, Linkedin, et le petit Francais Viadeo, ont ils pensé leur système pour qu’il protège au mieux leurs utilisateurs d’atteintes éventuelles à leur vie privée?

Voici quelques éléments intéressants sur ce thème émergent depuis quelques années:

• Emission d’Arte de juillet 2007: Tous Fichés
  • Lien vers le descriptif de l’émission
    

• Diaporama de 01Net.fr, site du journal professionnel 01 Informatique , sur l’exploitation par des pirates du net des réseaux sociaux en ligne et de la technologie Ajax utilisée pour rendre plus agréable la navigation des sites et qui est associée au mouvement dit ‘ du Web 2.0′.
  • Lien Diaporama

Le textes sont reproduits ici au cas où l’information soit supprimée lorsque vous lirez ceci:

• Les plates-formes de mise en relation comme Viadeo ou LinkedIn sont de plus en plus employées par les professionnels. Mais les escrocs s’y intéressent aussi ! Il leur suffit de créer un profil dans lequel ils prétendre être des dirigeants d’une importante société. Au bout de quelques jours, des dizaines de personnes leur envoient des demandes de mise en relation et échangent ensuite des e-mails « entre contacts ».
• Les pièces jointes des e-mails restent la principale source d’infection. Mais des messages postés sur un forum peuvent aussi contenir une image infectée par un code malveillant ou un lien URL vers un site piégé.
  Dans les deux cas, cliquer dessus revient à mettre sa machine en danger. Plusieurs cas de virus ou de vers nichés dans une image au format Jpeg ont été signalés (vers Bropia.F et Bobax.H).
• MySpace et YouTube sont victimes de leur succès : des pirates utilisent les vidéos pour y dissimuler des codes malveillants. En décembre dernier, un virus baptisé JS/Quickspace.A a été retrouvé dans une vidéo au format Quicktime, d’Apple, sur le site communautaire.
  La méthode est simple : dès que l’on visite la page de cette vidéo, un virus infecte automatiquement le PC. Il va modifier le profil de l’utilisateur en y incluant par exemple un lien vers un faux site MySpace. Le but est de récupérer les e-mails, les identifiants et les mots de passe de tous les internautes qui consulteront ce site fictif.
• Cette extension du langage de programmation JavaScript permet notamment un rafraîchissement constant d’une page Web sans intervention de l’internaute. Elle est utilisée par Google Maps, Yahoo! ou encore MySpace. Mais Ajax augmente aussi le risque de failles du type cross site scripting et les vulnérabilités des navigateurs.
  Pour que l’internaute tombe dans le piège, le pirate peut utiliser deux méthodes. La plus simple consiste à lui envoyer un e-mail l’invitant à découvrir un nouveau site Web 2.0. La plus sophistiquée nécessite d’injecter un code malveillant sur un site en y laissant, par exemple, un commentaire contenant des caractères spéciaux.
• Tous les internautes visionnant la page contaminée seront touchés. Il y a un an, le ver Yamanner visait la plate-forme de webmail de Yahoo! en profitant d’une faille dans la gestion du code JavaScript par les navigateurs pour contaminer le PC.
  Ce code malveillant avait différents objectifs : redirection automatique vers un autre site, vol d’identifiants de session ou de données bancaires, etc.
• Pour court-circuiter les données d’un flux RSS, l’une des techniques consiste à s’introduire dans le serveur d’une entreprise. Le pirate peut ensuite divulguer de fausses informations financières visant à modifier la cote boursière d’une entreprise ou poster des messages contenant des liens infectés.
  « Ce ne sont pas les lecteurs RSS en eux-mêmes qui posent problème, c’est leur généralisation et l’importante « audience potentielle » des flux, précise Eric Chien, ingénieur sécurité chez Symantec. Un nombre élevé d’internautes peut en effet consulter un lien URL infecté. »
• A la fin de l’année 2006, un spammeur a posté sur Wikipédia une page contenant un lien vers un site hébergeant le cheval de Troie Nordex. L’attaque était complétée par un faux e-mail de Wikipédia informant les internautes de l’existence de cette nouvelle page.
• Le site Pimp-my-profile.com propose de rendre votre profil MySpace plus attirant. Pour cela, il vous demande votre login et votre mot de passe afin de faire les modifications à votre place. Sauf que, d’un seul coup, tous les gens que vous connaissez se retrouvent avec des publicités dans les commentaires de leur page…

( La, tant pis pour les naifs qui transmettent ces informations!)